暗号資産カードを提供するネオバンクAviciが、カード関連コントラクトの脆弱性を突いたハッキングに見舞われた。被害総額は約110万ドルに上り、複数のプログラムに影響が広がっている。
攻撃はカード基盤を提供するRain社の旧バージョンのコントラクトを経由して実行された。Aviciの利用者1,685人から約50万ドルが流出し、AVICIトークンは一時49%下落した。
この事件は、セルフカストディ型カードの裏側に存在する資金管理のリスクを浮き彫りにしている。急成長する暗号資産カード市場にとって、無視できない警鐘だ。
事件の全容とAVICIトークンへの影響
何が起きたのか
8月29日、暗号資産カードを手掛けるAviciがハッキング被害を公表した。攻撃者はカード関連のコントラクトに潜む脆弱性を突き、約110万ドルを引き出した。このうちAviciの利用者1,685人から約50万ドルが流出している。
AviciはVisaと統合されたクレジットカードを提供するセルフカストディ型ネオバンクだ。利用者は自分の暗号資産をウォレットで管理しながら、カードで日常的に支払うことができる。
今回の攻撃は、カードに資金をチャージした後に残る残高を管理するSolana上のコントラクトに限定されていた。Aviciは、自己管理型ウォレット自体には影響がなかったと説明している。
AVICIトークンの急落
事件を受けてAviciの独自トークンAVICIは急落した。24時間の高値0.43ドルから過去最低の0.217ドルまで49%下落し、その後0.378ドル付近まで戻した。
この急落は、市場が事件の深刻さを即座に織り込んだことを示している。ハッキングによる資金流出と、それに伴う信頼低下がトークン売りを加速させた。
さらに別のネオバンクTriaでも636人の利用者が被害に遭い、43万ドル以上が流出した。Triaのトークンも一時10%以上下落した。
攻撃の手口と技術的な原因
古いRainコントラクトの脆弱性
Rain社は監視システムを通じて、Aviciと少数のプログラムが使用していた旧バージョンのコントラクトに脆弱性を特定した。Rainはこのバージョンを実行していたすべてのプログラムをアップグレードし、その後は不正な活動を確認していない。
コントラクトとは、ブロックチェーン上で自動的に実行されるプログラムのことだ。今回はカード残高を管理するコントラクトに欠陥があり、攻撃者に悪用された。旧バージョンを放置していたことが直接の原因になった。
攻撃者の資金移動経路
取引データによると、攻撃者は署名済みの承認を繰り返し送信し、自分自身を各カード担保口座の管理者として追加した。その後、口座の残高を引き出したという。
盗まれたステーブルコインはSolana（SOL）に交換され、Ethereumへブリッジされ、最終的にミキサーのTornado Cashへ送られた。この経路は資金の追跡を困難にするために選ばれた可能性が高い。
オンチェーンの追跡で確認された約110万ドルと、Aviciが報告した損失額との差は、他のRain関連プログラムも被害を受けたことを示している。両社とも、影響を受けた他のプログラム名や損失総額を公表していない。
セルフカストディ型カードの構造的リスク
カード資金と自己管理の違い
この事件は、セルフカストディ型カードの裏側にある「カストディの受け渡し」問題を露呈させた。利用者はAviciウォレット内の資金を自分で管理していたが、カードにチャージした資金は第三者であるRainのコントラクトに移動していた。
つまり、利用者が自分の資産を完全に管理しているように見えて、実際にはカード利用の際に管理権限が移っていたのだ。この区別は、多くの利用者にとって分かりにくい。
セルフカストディとは、中央集権的な管理者を介さず、利用者自身が秘密鍵を管理する仕組みを指す。Aviciはこの仕組みを売りにしていたが、カードチャージ後の資金は第三者に預ける形だった。
暗号資産カード市場の成長
暗号資産カードの利用は急拡大している。7月のカード支出は10億ドルを超え、前月から3倍以上に増えた。取引の70%以上がステーブルコインで決済されている。
市場が成長するほど、セキュリティの重要性は増す。今回の事件は、急成長する分野に潜むリスクを改めて示した形だ。特に、複数の事業者が同じ基盤を共有する場合、1つの脆弱性が広範囲に影響を及ぼす。
各社の対応と残された課題
Aviciの返金対応とFBI報告
Aviciは被害を受けたすべてのカード残高を全額返金すると表明した。また、米連邦捜査局（FBI）のインターネット犯罪苦情センターに報告を行った。
ただし、返金の時期や資金調達方法については明らかにされていない。返金は会社の信頼回復にとって重要なステップになるため、早急な実行が求められる。
Rainの対応と未解決の問題
Rainは脆弱性を特定した後、影響を受けたプログラムをアップグレードした。しかし、Avici以外に被害を受けたプログラムの名前や損失総額は公表していない。
透明性の欠如は、利用者の不安を長引かせる要因になる。今回の事件を教訓に、業界全体でセキュリティ監査と情報開示の基準を見直す必要がある。
暗号資産カードは、従来の金融と暗号資産をつなぐ重要な接点だ。利用者保護の仕組みが不十分なまま成長が続けば、より大きな事件につながる恐れがある。
この記事のポイント
- Aviciのカード関連コントラクトがハッキングされ、約110万ドルが流出した
- AVICIトークンは24時間高値から49%下落し、過去最低を記録した
- 攻撃の原因はRain社の旧バージョンのコントラクトに存在した脆弱性だった
- セルフカストディ型カードでも、チャージ後の資金は第三者に管理されていた
- 急成長する暗号資産カード市場におけるセキュリティ基準の見直しが急務だ
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。